Un ingeniero de software denuncia que las recomendaciones habituales contra el phishing —"no haga clic en enlaces sospechosos"— resultan inútiles cuando los propios flujos de autenticación legítimos de las empresas imitan los patrones de una estafa. El artículo describe un caso real (anonimizado) en el que el inicio de sesión de una organización atraviesa hasta nueve dominios distintos antes de solicitar credenciales, código 2FA o ambos: ningún paso vive bajo el dominio principal de la marca.
Esa complejidad hace que un atacante solo necesite una página con un campo de contraseña y el logotipo corporativo para suplantar la identidad de la compañía. El autor explica por qué las URL confunden incluso a usuarios atentos: el dominio de segundo nivel —la parte realmente identificativa— aparece en la mitad de la cadena, rodeado de esquema, subdominios y rutas, con una dirección de lectura que alterna entre lo específico y lo general.
Como solución, plantea tres reglas operativas para las organizaciones: usar un único dominio raíz reconocible, alojar todos los servicios internos en subdominios propios y nunca enviar enlaces que apunten a dominios de terceros sin una redirección intermedia desde el dominio legítimo. Argumenta que culpar al usuario por no detectar estas trampas es injusto mientras las páginas legítimas sean indistinguibles de las fraudulentas.